कोमोडो कोणतेही कारण नसताना प्रमाणपत्रे रद्द करतो

तुम्ही कल्पना करू शकता की एखादी मोठी कंपनी आपल्या ग्राहकांची फसवणूक करेल, विशेषत: जर ही कंपनी सुरक्षिततेची हमी देणारी असेल तर? म्हणून मी अलीकडे पर्यंत करू शकलो नाही. हा लेख Comodo कडून कोड साइनिंग प्रमाणपत्र खरेदी करण्यापूर्वी दोनदा विचार करण्याची चेतावणी आहे.

माझ्या कामाचा एक भाग म्हणून (सिस्टम प्रशासन), मी विविध उपयुक्त प्रोग्राम बनवतो जे मी माझ्या स्वतःच्या कामात सक्रियपणे वापरतो आणि त्याच वेळी मी ते प्रत्येकासाठी विनामूल्य पोस्ट करतो. सुमारे तीन वर्षांपूर्वी, प्रोग्रामवर स्वाक्षरी करण्याची आवश्यकता होती, अन्यथा माझे सर्व क्लायंट आणि वापरकर्ते केवळ स्वाक्षरी न केल्यामुळे ते समस्यांशिवाय डाउनलोड करू शकत नाहीत. स्वाक्षरी करणे ही फार पूर्वीपासून एक सामान्य प्रथा आहे आणि एखादा प्रोग्राम कितीही सुरक्षित असला तरीही, परंतु जर त्यावर स्वाक्षरी केली नसेल तर त्याकडे नक्कीच लक्ष दिले जाईल:

1. फाईल किती वेळा डाउनलोड केली जाते याची आकडेवारी ब्राउझर गोळा करतो आणि जेव्हा ती स्वाक्षरी केलेली नसते, तेव्हा सुरुवातीच्या टप्प्यावर ती "केवळ बाबतीत" अवरोधित केली जाऊ शकते आणि जतन करण्यासाठी वापरकर्त्याकडून स्पष्ट पुष्टीकरण आवश्यक असते. अल्गोरिदम भिन्न आहेत, काहीवेळा डोमेन विश्वसनीय मानले जाते, परंतु सर्वसाधारणपणे हे एक वैध स्वाक्षरी असते जी सुरक्षिततेची पुष्टी करते.
2. डाउनलोड केल्यानंतर, फाइल अँटीव्हायरसद्वारे पाहिली जाते आणि OS स्वतः सुरू होण्यापूर्वी लगेचच. अँटीव्हायरससाठी, स्वाक्षरी देखील महत्त्वाची आहे, हे व्हायरसटोटलवर सहजपणे पाहिले जाऊ शकते आणि OS साठी, Win10 पासून सुरू होणारी, रद्द केलेल्या प्रमाणपत्रासह फाइल त्वरित अवरोधित केली जाते आणि एक्सप्लोररवरून लॉन्च केली जाऊ शकत नाही. याव्यतिरिक्त, काही संस्थांमध्ये सामान्यतः स्वाक्षरी न केलेला कोड (सिस्टम टूल्स वापरून कॉन्फिगर केलेला) चालविण्यास मनाई आहे आणि हे न्याय्य आहे - सर्व सामान्य विकासकांनी दीर्घकाळापासून खात्री केली आहे की त्यांचे प्रोग्राम अतिरिक्त प्रयत्नांशिवाय तपासले जाऊ शकतात.

सर्वसाधारणपणे, योग्य दिशा निवडली गेली आहे - शक्य तितक्या प्रमाणात, अननुभवी वापरकर्त्यांसाठी इंटरनेट शक्य तितके सुरक्षित बनवणे. तथापि, अंमलबजावणी स्वतःच अद्याप आदर्शापासून दूर आहे. एक साधा विकासक फक्त प्रमाणपत्र मिळवू शकत नाही; ते अशा कंपन्यांकडून खरेदी केले पाहिजे ज्यांनी या बाजारपेठेची मक्तेदारी केली आहे आणि त्यावर त्यांच्या अटी लागू केल्या आहेत. पण कार्यक्रम मोफत असतील तर? कुणालाच काळजी नाही. मग विकसकाकडे एक पर्याय आहे - सतत त्याच्या प्रोग्रामची सुरक्षितता सिद्ध करणे, वापरकर्त्यांच्या सोयीचा त्याग करणे किंवा प्रमाणपत्र खरेदी करणे. तीन वर्षांपूर्वी, स्टार्टकॉम, जे आता समुद्राच्या तळाशी राहते, ते फायदेशीर होते; त्यांना कधीही समस्या आल्या नाहीत. याक्षणी, कोमोडोने किमान किंमत प्रदान केली आहे, परंतु, जसे की ते दिसून येते, तेथे एक पकड आहे - त्यांच्यासाठी विकसक अक्षरशः कोणीही नाही आणि त्याची फसवणूक करणे ही एक सामान्य प्रथा आहे.

2018 च्या मध्यात मी खरेदी केलेले प्रमाणपत्र वापरल्यानंतर जवळजवळ एक वर्षानंतर, अचानक, मेल किंवा फोनद्वारे पूर्वसूचना न देता, कोमोडोने स्पष्टीकरण न देता ते रद्द केले. त्यांचे तांत्रिक समर्थन चांगले कार्य करत नाही - ते एका आठवड्यासाठी प्रतिसाद देऊ शकत नाहीत, परंतु तरीही त्यांनी मुख्य कारण शोधण्यात व्यवस्थापित केले - जारी केलेले प्रमाणपत्र मालवेअरद्वारे स्वाक्षरी केलेले असल्याचे त्यांनी मानले. आणि कथा तिथेच संपली असती, जर एक गोष्ट नाही तर - मी कधीही मालवेअर तयार केले नाही आणि माझ्या स्वतःच्या संरक्षण पद्धती मला असे म्हणू देतात की माझी खाजगी की चोरणे अशक्य आहे. फक्त कोमोडोकडे कीची प्रत आहे कारण ते CSR शिवाय जारी करतात. आणि मग - प्राथमिक पुरावा शोधण्यासाठी जवळजवळ दोन आठवडे अयशस्वी प्रयत्न. सुरक्षा संरक्षणाची हमी देणार्‍या कंपनीने त्यांच्या नियमांचे उल्लंघन केल्याचा पुरावा देण्यास स्पष्टपणे नकार दिला.

तांत्रिक समर्थनासह शेवटच्या चॅटमधूनतुम्ही 01:20
तुम्ही लिहिले आहे "आम्ही त्याच व्यावसायिक दिवसात मानक समर्थन तिकिटांना प्रतिसाद देण्याचा प्रयत्न करतो." पण मी आता एका आठवड्यापासून प्रतिसादाची वाट पाहत आहे.

विन्सन 01:20
नमस्कार, Sectigo SSL प्रमाणीकरण मध्ये आपले स्वागत आहे!
मला तुमच्या केसची स्थिती तपासू द्या, कृपया एक मिनिट थांबा.
मी तपासले आहे आणि मालवेअर/फसवणूक/फिशिंगमुळे आमच्या उच्च अधिकार्‍याने ऑर्डर रद्द केली आहे.

तुम्ही 01:28
मला खात्री आहे की ही तुमची चूक आहे, म्हणून मी पुरावा मागतो.
माझ्याकडे कधीही मालवेअर/फसवणूक/फिशिंग नव्हते.

विन्सन 01:30
मला माफ करा, अलेक्झांडर. मी दुहेरी तपासणी केली आहे आणि मालवेअर/फसवणूक/फिशिंगमुळे आमच्या उच्च अधिकार्‍याने ऑर्डर रद्द केली आहे.

तुम्ही 01:31
तुम्हाला कोणत्या फाईलमध्ये व्हायरस दिसला? व्हायरसटोटलची लिंक आहे का? मला तुमचे उत्तर मान्य नाही कारण त्यात कोणताही पुरावा नाही. या प्रमाणपत्रासाठी मी पैसे दिले आहेत आणि माझे पैसे माझ्याकडून जबरदस्तीने का घेतले आहेत हे जाणून घेण्याचा मला अधिकार आहे.
जर तुम्ही पुरावा देऊ शकत नसाल, तर प्रमाणपत्र अयोग्यरित्या रद्द केले गेले आहे आणि पैसे परत करणे आवश्यक आहे. अन्यथा, पुराव्याशिवाय प्रमाणपत्रे रद्द केली तर तुमच्या कामाला काय अर्थ आहे?

विन्सन 01:34
मला तुमची चिंता समजते. मालवेअर वितरीत करण्यासाठी कोड साइनिंग प्रमाणपत्र नोंदवले गेले आहे. उद्योग मार्गदर्शक तत्त्वांनुसार: प्रमाणपत्र प्राधिकरण म्हणून सेक्टिगोने प्रमाणपत्र रद्द करणे आवश्यक आहे.
तसेच परतावा धोरणानुसार, आम्ही जारी केल्याच्या तारखेपासून 30 दिवसांनंतर परतावा देऊ शकणार नाही.

तुम्ही 01:35
ही चूक किंवा खोटी सकारात्मक नाही असे का वाटते?

विन्सन 01:36
मला माफ करा, अलेक्झांडर. आमच्या उच्च अधिकाऱ्यांच्या अहवालानुसार, मालवेअर/फसवणूक/फिशिंगमुळे ऑर्डर मागे घेण्यात आली आहे.

तुम्ही 01:37
माफी मागण्याची गरज नाही, मी पैसे दिले आहेत आणि मी तुमच्या नियमांचे उल्लंघन केले आहे याचा पुरावा मला पहायचा आहे. हे सोपं आहे.
मी तीन वर्षे पैसे दिले, मग तुम्ही कारण घेऊन आलात आणि मला प्रमाणपत्राशिवाय आणि माझ्या अपराधाचा पुरावा न देता सोडले.

विन्सन 01:43
मला तुमची चिंता समजते. मालवेअर वितरीत करण्यासाठी कोड साइनिंग प्रमाणपत्र नोंदवले गेले आहे. उद्योग मार्गदर्शक तत्त्वांनुसार: प्रमाणपत्र प्राधिकरण म्हणून सेक्टिगोने प्रमाणपत्र रद्द करणे आवश्यक आहे.

तुम्ही 01:45
तुम्हाला कळत नाही असे दिसते. पुराव्याशिवाय शिक्षा देणारे न्यायालय कुठे पाहिले? तू तेच केलेस. मला मालवेअर कधीच नव्हते. असेल तर पुरावा का देत नाही? प्रमाणपत्र रद्द करणे हा कोणता विशिष्ट पुरावा आहे?

विन्सन 01:46
मला माफ करा, अलेक्झांडर. आमच्या उच्च अधिकाऱ्यांच्या अहवालानुसार, मालवेअर/फसवणूक/फिशिंगमुळे ऑर्डर मागे घेण्यात आली आहे.

तुम्ही 01:47
प्रमाणपत्र रद्द करण्याचे खरे कारण मी कोण शोधू शकतो?
आपण उत्तर देऊ शकत नसल्यास, मला सांगा कोणाशी संपर्क साधावा?

विन्सन 01:48
कृपया खालील लिंक वापरून पुन्हा तिकीट सबमिट करा जेणेकरून तुम्हाला शक्य तितक्या लवकर प्रतिसाद मिळावा.
sectigo.com/support-ticket

तुम्ही 01:48
धन्यवाद.
हा निकाल वेगळा नाही, चॅटमधील वाटाघाटीचा सर्व वेळ, उत्कृष्टपणे, ते एकच उत्तर देतात, तिकीटांना एकतर उत्तर दिले जात नाही किंवा उत्तरे तितकीच निरुपयोगी आहेत.

मी पुन्हा तिकीट तयार करत आहेमाझी विनंती:
मला पुरावा हवा आहे की मी एका नियमाचे उल्लंघन केले ज्यामुळे निरस्तीकरण झाले. मी एक प्रमाणपत्र विकत घेतले आहे आणि माझे पैसे माझ्याकडून का घेतले आहेत हे मला जाणून घ्यायचे आहे.
"मालवेअर/फसवणूक/फिशिंग" हे उत्तर नाही! तुम्हाला कोणत्या फाईलमध्ये व्हायरस दिसला? व्हायरसटोटलची लिंक आहे का? कृपया पुरावा द्या किंवा पैसे परत करा, मी तांत्रिक समर्थन लिहून थकलो आहे आणि एका आठवड्यापेक्षा जास्त काळ वाट पाहत आहे.
धन्यवाद.

त्यांचे उत्तर:
मालवेअर वितरीत करण्यासाठी कोड साइनिंग प्रमाणपत्र नोंदवले गेले आहे. उद्योग मार्गदर्शक तत्त्वांनुसार: प्रमाणपत्र प्राधिकरण म्हणून सेक्टिगोने प्रमाणपत्र रद्द करणे आवश्यक आहे.
मला उत्तर देणारे माकड नाही ही आशा पूर्णपणे मावळली आहे. एक मनोरंजक आकृती उदयास येते:

1. आम्ही प्रमाणपत्र विकतो.
2. आम्ही सहा महिन्यांहून अधिक काळ वाट पाहत आहोत जेणेकरून PayPal द्वारे विवाद उघडणे अशक्य आहे.
3. आम्ही आठवत आहोत आणि पुढील ऑर्डरची वाट पाहत आहोत. नफा!

माझ्याकडे त्यांच्यावर प्रभाव टाकण्याच्या इतर कोणत्याही पद्धती नसल्यामुळे, मी फक्त त्यांची फसवणूक सार्वजनिक करू शकतो. Comodo कडून प्रमाणपत्र खरेदी करताना, ज्याला Sectigo देखील म्हणतात, तुम्हालाही अशीच परिस्थिती येऊ शकते.

९ जून अपडेट:
आज मी CodeSignCert (ज्या कंपनीद्वारे मी प्रमाणपत्र खरेदी केले आहे) सूचित केले की त्यांनी प्रतिसाद देणे थांबवल्यामुळे, मी या लेखाच्या दुव्यासह परिस्थिती सार्वजनिक चर्चेसाठी आणली आहे. काही काळानंतर, त्यांनी शेवटी व्हायरसटोटलचा एक स्क्रीनशॉट पाठवला, जिथे प्रोग्राम हॅश दिसत होता EzvitUpd:
एकूण व्हायरस - d92299c3f7791f0ebb7a6975f4295792fbbf75440cb1f47ef9190f2a4731d425

परिस्थितीचे माझे मूल्यांकन:
मी आत्मविश्वासाने म्हणू शकतो की हे चुकीचे सकारात्मक आहे. चिन्हे:

1. पदनाम बहुतेक प्रकरणांमध्ये सामान्य.
2. अँटीव्हायरस नेत्यांकडून कोणताही शोध लागला नाही.

अँटीव्हायरसकडून अशी प्रतिक्रिया नेमकी कशामुळे आली हे सांगणे कठीण आहे, परंतु फाइल खूप जुनी असल्याने (ती जवळजवळ एक वर्षापूर्वी तयार केली गेली होती), माझ्याकडे फाइल पुन्हा तयार करण्यासाठी बायनरी आवृत्ती 1.6.1 चा स्त्रोत कोड जतन केलेला नाही. . तथापि, माझ्याकडे नवीनतम आवृत्ती 1.6.5 आहे, आणि मुख्य शाखेची अपरिवर्तनीयता लक्षात घेता, तेथे कमीत कमी बदल केले गेले आहेत, परंतु असे कोणतेही खोटे सकारात्मक नाहीत:
एकूण व्हायरस - c247d8c30eff4449c49dfc244040fc48bce4bba3e0890799de9f83e7a59310eb

CodeSignCert खोट्या सकारात्मकबद्दल सूचित केले गेले आहे; एकदा वाटाघाटींचे पुढील परिणाम उपलब्ध झाल्यानंतर, परिस्थिती पूर्णपणे निराकरण होईपर्यंत लेख अद्यतनित केला जाईल.

स्त्रोत: www.habr.com